Getrennt marschieren, vereint schlagen

Die rasante technologische Entwicklung und erhebliche Veränderungen in den Rechtsvorschriften haben bei Governance, Risikomanagement und Compliance in den vergangenen zwei Jahrzehnten zu einigen Unklarheiten geführt. Die IT-Werkzeuge zur Unterstützung sind weiterhin unausgereift, und die derzeitige Verwendung des Akronyms GRC als Marketing-Schlagwort hat die bereits bestehende Verwirrung nur noch verstärkt. So etwas wie GRC gibt es in Wirklichkeit nämlich gar nicht. Deshalb sollte man dieses Schlagwort auch tunlichst vermeiden, seine Verwendung verschleiert wichtige Probleme nur noch mehr. So war der kürzlich bei der französischen Großbank Société Générale entstandene Verlust von fast fünf Milliarden Euro nicht die Folge eines einzigen Versagens, sondern hatte mindestens zwei Ursachen. Der erste Fehler geschah beim Risikomanagement: Ein Händler konnte entscheidende Überwachungsmechanismen außer Kraft setzen. Der zweite Fehler lag bei der Governance. Als die französische Bankenaufsicht die Aktivitäten entdeckte und die Société Générale darauf aufmerksam machte, dass ihr Risikomanagement nicht ordnungsgemäß funktioniert, hat es die Führung der Bank versäumt, angemessene Maßnahmen zu ergreifen. Unternehmen werden den größten Erfolg haben, wenn sie die in der Vergangenheit aufgetretenen Mängel genau analysieren und sich bei der Entwicklung von Governance-, Risikomanagement- und Compliance-Programmen auf Kernziele konzentrieren. So sollten Governance-Initiativen den Fokus haben, organisatorische Transparenz und Unternehmenswert aufzubauen. Bei Risikomanagement-Initiativen sollte sich der Blickwinkel von der Verlustvermeidung auf die Wertschöpfung verschieben, indem die einzugehenden statt die zu vermeidenden Risiken identifiziert und die Wettbewerbsvorteile beschrieben werden, die sich durch Risikomanagement-Kompetenzen schaffen lassen. Compliance-Initiativen sollten ihren Schwerpunkt von der Vermeidung von Haftpflichten auf die Reduzierung von Verlusten verlagern, die zur Haftung führen. Governance, Risikomanagement und Compliance sind drei separate, wenn auch zusammenhängende Aktivitäten, die unterschiedliche Probleme für unterschiedliche Gruppen von Managern lösen. Governance ist die Verantwortung der Unternehmensspitze. Sie konzentriert sich auf die Schaffung von Unternehmenswert und den Aufbau organisatorischer Transparenz. Information Governance – eine technische Disziplin, die die organisatorische Governance unterstützt – fällt in die Verantwortung des CIO und konzentriert sich auf die Verwaltung von Informationen, die zur Unterstützung der Unternehmensführung erforderlich sind. Risikomanagement ist eine gemeinsame Verantwortung von Führungskräften der einzelnen Geschäftsbereiche, dem CIO und dem Chief Financial Officer (CFO) und konzentriert sich auf die ausgewogene Steuerung risikorelevanter Verluste und Gewinne. Compliance schließlich ist, abhängig von den rechtlichen Rahmenbedingungen, eine gemeinsame Verantwortung verschiedener Führungskräfte (üblicherweise dem Personalchef, dem CFO und dem Chef der unternehmenseigenen Rechtsabteilung, unterstützt durch den CIO). So überrascht es nicht, dass diese verschiedenen Aktivitäten verschiedene Werkzeuge benötigen. Und es ist ebenfalls kein Wunder, dass diese Aktivitäten am effektivsten sind, wenn sie sich gegenseitig unterstützen. Governance, Risikomanagement und Compliance sind also verschiedene Aktivitäten, die verschiedene Ziele verfolgen, von unterschiedlichen Managern gesteuert werden und unterschiedliche Werkzeuge erfordern. Compliance funktioniert am besten, wenn Risikomanagement-Techniken nicht nur zur Einschränkung von Verbindlichkeiten, sondern auch zur Vermeidung von Verlusten eingesetzt werden. Risikomanagement funktioniert am besten, wenn Governance dafür sorgt, sowohl bewusst einzugehende als auch zu vermeidende Risiken zu identifizieren. Und gute Governance verlässt sich auf Risikomanagement- und Compliance-Aktivitäten, damit rechtzeitig Informationen über Lage und Verlustrisiko des Unternehmens zur Verfügung stehen.

Bob Blakley ist Principal Analyst bei dem Markt­forschungs- und Beratungshaus Burton Group.